Pregledajte ugovor o obradi podataka u odnosu na stvarnu uslugu

Ugovor o obradi podataka postaje koristan kada njegov opis odgovara stvarnoj usluzi. Ugovor koji izgleda potpuno može i dalje opisivati pogrešne podatke, izostaviti pružatelja podrške ili obećavati brisanje koje proizvod ne može provesti.

Za CTO-a pregled povezuje pravne obveze s arhitekturom, konfiguracijom i operativnim postupcima. Kolege iz pravne službe ili zaštite privatnosti tumače odredbe; inženjerski tim utvrđuje opisuju li te odredbe stvarnost. Rezultat treba biti obranjiva odluka o usluzi, potkrijepljena dokazima i jasnim popisom neriješenih uvjeta, a ne samo potpisan PDF.

Utvrdite ulogu dobavljača prije pregleda odredbi

Počnite utvrđivanjem djeluje li dobavljač kao izvršitelj obrade za relevantnu obradu. Prema Općoj uredbi o zaštiti podataka (GDPR) izvršitelj obrade obrađuje osobne podatke u ime voditelja obrade. Nema svaki odnos s dobavljačem tu ulogu, a jedan dobavljač može imati različite uloge za različite aktivnosti.

Hostirana platforma za podršku može obrađivati korisničke zahtjeve prema vašim uputama, a istodobno djelovati kao zasebni voditelj obrade za dio vlastite administracije računa. Ako njezini uvjeti dopuštaju i korištenje sadržaja zahtjeva u samostalno određene svrhe, ta aktivnost zahtijeva zasebnu analizu. Nazivanje svega „poboljšanjem usluge“ ne rješava pitanje uloge.

Prije unošenja primjedbi u ugovor pripremite kratku izjavu o opsegu:

• Utvrdite ugovornu stranu, proizvod, razinu pretplate i uključene funkcije.
• Opišite zašto vaša organizacija koristi uslugu i čije osobne podatke ona obrađuje.
• Odvojite obradu prema uputama od svih svrha koje određuje dobavljač.
• Navedite internog vlasnika usluge i pravnog revizora ili revizora za zaštitu privatnosti.

Ugovor o obradi podataka nije pravna osnova iz članka 6. niti automatski ispunjava zahtjeve za međunarodne prijenose. Ta pitanja ostaju zasebna. Ako je vaša organizacija i sama izvršitelj obrade, utvrdite upute i uvjete odobrenja voditelja obrade na višoj razini prije nego što dobavljača angažirate kao podizvršitelja obrade.

Izradite matricu za pregled prema članku 28.

Članak 28. GDPR-a zahtijeva obvezujući ugovor ili drugi pravni akt koji ispunjava uvjete i uređuje aktivnosti izvršitelja obrade. On mora opisati predmet i trajanje, prirodu i svrhu obrade, vrstu osobnih podataka, kategorije ispitanika te prava i obveze voditelja obrade.

Ti podaci trebaju odrediti stvarnu obradu. „Svi podaci potrebni za pružanje usluga“ mogu revizore ostaviti bez mogućnosti da utvrde jesu li obuhvaćeni podaci o zaposlenicima, poruke klijenata ili osjetljivi privici. Provjerite priloge u odnosu na konfigurirani proizvod, uključujući dodatne integracije.

Upotrijebite sljedeću matricu za ispitivanje propisanih obveza izvršitelja obrade. Stupac s dokazima sadrži praktične preporuke za pregled, a ne zakonski zahtjev za pribavljanjem svakog navedenog dokumenta.

Izvršitelj obrade mora također odmah obavijestiti voditelja obrade ako, prema njegovu mišljenju, neka uputa krši primjenjivo pravo o zaštiti podataka. Provjerite kamo ta obavijest stiže i tko je može riješiti.

Svaki zahtjev označite kao pokriven, nejasan ili nedostajući, s upućivanjem na odredbu. Obvezni propust nemojte klasificirati kao uobičajenu komercijalnu preferenciju. Članak 28. stavak 1. također zahtijeva od voditelja obrade da koriste izvršitelje obrade koji pružaju dostatna jamstva; sama ugovorna formulacija to ne može dokazati.

Pratite reprezentativan zapis kroz uslugu

Odaberite realističan zapis i pratite ga od unosa do zbrinjavanja. Za uslugu korisničke podrške to može biti zahtjev koji sadrži ime, adresu e-pošte, identifikator računa i privitak. Pri testiranju dajte prednost sintetičkim podacima.

Mapirajte prikupljanje, unos putem API-ja, primarnu pohranu, indeksiranje, analitiku, pristup podrške, izvoze, integracije, sigurnosne kopije i brisanje. Pitajte koje komponente primaju sadržaj, a koje samo metapodatke. Zapisnici i dijagnostički tragovi često sadrže identifikatore čak i kada je glavna aplikacija ispravno ograničena.

Za svaku fazu zabilježite odgovorni subjekt, svrhu obrade, lokaciju, put pristupa i razdoblje čuvanja. Usporedite rezultat s ugovorom o obradi podataka, sigurnosnim prilogom, popisom podizvršitelja obrade i aranžmanima za prijenos.

Posebnu pozornost posvetite funkcijama koje administratori mogu uključiti bez sudjelovanja nabave: transkripciji, obogaćivanju podataka, sažimanju pomoću umjetne inteligencije, vanjskim webhookovima i snimanju sesija podrške. Ugovor pregledan za osnovni proizvod možda ne opisuje primjereno uslugu s uključenim funkcijama.

Rezultat može biti jednostavan dijagram tokova podataka i dnevnik odstupanja. Svako odstupanje treba navesti ugovornu izjavu, uočeno ponašanje, posljedicu, vlasnika i rješenje. Na primjer, „Ugovor o obradi podataka opisuje čuvanje pod kontrolom klijenta; dijagnostički zapisnici ostaju tijekom fiksnog razdoblja“ je nešto na čemu se može djelovati. „Čuvanje nejasno“ nije dovoljno za zatvaranje pitanja.

Testirajte sigurnosna obećanja u odnosu na implementaciju

Članak 32. zahtijeva sigurnosne mjere primjerene riziku. On ne propisuje jednu univerzalnu tehničku konfiguraciju. Procijenite mjere u odnosu na osjetljivost podataka, njihov obujam, izloženost i vjerojatne posljedice kompromitacije.

Prilog treba objasniti dovoljno za procjenu usluge, a da ne zahtijeva otkrivanje pojedinosti osjetljivih za iskorištavanje ranjivosti. Dajte prednost izolaciji zakupaca, privilegiranom pristupu, autentifikaciji, enkripciji, otpornosti, oporavku, upravljanju ranjivostima i testiranju. Utvrdite kontrole kojima upravlja dobavljač i postavke koje mora konfigurirati vaš tim.

Ako ugovor obećava ograničen pristup podrške, pitajte kako se pristup traži, odobrava, vremenski ograničava i bilježi. Ako obećava enkripciju, razlikujte zaštitu u prijenosu od zaštite u mirovanju, a zatim utvrdite tko kontrolira ključeve i što ovlašteni korisnici i dalje mogu čitati. Enkripcija ne rješava prekomjerna ovlaštenja u aplikaciji.

Za dostupnost i oporavak utvrdite koje sigurnosne kopije postoje, kako se vraćanje testira i pokrivaju li ugovorne obveze oporavka proizvod koji kupujete. Komercijalne ciljeve dostupnosti držite odvojenima od obveza u području sigurnosti i zaštite privatnosti.

Certifikati i izvješća o jamstvu mogu poduprijeti procjenu, ali njihov je opseg važan. Provjerite uslugu, pravni subjekt, razdoblje procjene, iznimke i odgovornosti klijenta. Izvješće o pružatelju hostinga nije dokaz za svaku kontrolu u SaaS aplikaciji, a certifikacija ne dokazuje usklađenost s GDPR-om. Pogledajte procjenu sigurnosnih jamstava za širi pregled dokaza.

Kada je sigurnosni prilog uključen putem internetske poveznice, sačuvajte primjenjivu verziju. Provjerite mogu li promjene smanjiti zaštitu i kako se klijenti obavješćuju. Nedatiranu stranicu koja se može mijenjati tretirajte kao problem upravljanja dokazima koji treba riješiti, umjesto da pretpostavite da je automatski dostatna ili automatski nevaljana.

Pratite lanac podizvršitelja obrade i zasebno procijenite prijenose

Članak 28. stavak 2. zahtijeva prethodno posebno ili opće pisano odobrenje za angažiranje drugog izvršitelja obrade. Uz opće odobrenje izvršitelj obrade mora obavijestiti voditelja obrade o namjeravanim dodavanjima ili zamjenama i dati mu priliku da uloži prigovor. Članak 28. stavak 4. zahtijeva da se relevantne obveze zaštite podataka prenesu dalje; početni izvršitelj obrade ostaje u potpunosti odgovoran voditelju obrade za izvršavanje tih obveza od strane podizvršitelja.

Pribavite upotrebljiv popis na kojem su za svakog pružatelja navedeni pravni identitet, funkcija, relevantni podaci i lokacije obrade. Nije svaka ovisnost o dobavljaču podizvršitelj obrade, ali pružatelji infrastrukture, podrške i analitike ne smiju nestati iz pregleda samo zato što djeluju iza sučelja proizvoda.

Procijenite mehanizam promjene:

• Stiže li obavijest na adresu koja se prati ili dodijeljenom vlasniku?
• Ima li dovoljno informacija i vremena za procjenu predložene promjene?
• Kako se prigovor podnosi i rješava?
• Što se događa ako nije dostupna nijedna prihvatljiva alternativa?

Ugovorno pravo koje nitko ne može operativno ostvariti znak je upozorenja. Pretplatite odgovarajući tim na obavijesti i zabilježite tko ih procjenjuje.

Hosting u EU-u relevantan je, ali ne dovršava procjenu prijenosa. Ispitajte stvarne primatelje, aranžmane za udaljeni pristup, lokacije podrške i daljnje prijenose. Jednako tako, samo strano vlasništvo nije potpun opis prijenosa: dokumentirajte stvarne subjekte i putove pristupa.

Kada se primjenjuje poglavlje V., utvrdite relevantan mehanizam prijenosa i sve potrebne popratne procjene ili mjere. Ovu analizu držite povezanom s pregledom dobavljača, ali odvojenom od usklađenosti s člankom 28. Ugovor o obradi podataka i postavka regionalnog hostinga sami po sebi ne odgovaraju na sva pitanja o prijenosu.

Učinite obveze pružanja pomoći izvedivima

Obavješćivanje o povredi i primopredaja incidenta

Prema članku 33. stavku 2. izvršitelj obrade mora bez nepotrebnog odgađanja obavijestiti voditelja obrade nakon što sazna za povredu osobnih podataka. Voditelj obrade zasebno procjenjuje obavješćivanje nadzornog tijela, koje je potrebno bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca.

Nemojte izvršitelju obrade dati rok voditelja obrade kao zadano razdoblje čekanja. Praktičan ugovor treba predvidjeti brzu početnu obavijest, imenovane kanale i postupna ažuriranja. Dogovoreni rok za obavijest operativna je preporuka; on ne zamjenjuje zakonski standard.

Zatražite informacije potrebne za procjenu pogođenih podataka, pojedinaca, sustava, vjerojatnih posljedica, ograničavanja i oporavka. Prva obavijest može biti nepotpuna, stoga definirajte kako slijede ažuriranja i dokazi. Voditelj obrade mora također procijeniti zahtijeva li visok rizik obavješćivanje pogođenih pojedinaca prema članku 34., uz iznimke koje on predviđa, te dokumentirati procjenu povrede, uključujući razloge za neobavješćivanje. Pažljivo pregledajte okidač obavijesti: postupak koji čeka dovršetak istrage temeljnog uzroka može odgoditi procjenu voditelja obrade.

Testirajte primopredaju simulacijom za stolom (tabletop). Potvrdite da obavijest stiže do osoba zaduženih za odgovor na incidente i revizora za zaštitu privatnosti i izvan uobičajenog radnog vremena, a ne samo do voditelja računa.

Zahtjevi ispitanika

Pomoć izvršitelja obrade treba učiniti izvedivim vaš vlastiti postupak odgovaranja na zahtjeve za ostvarivanje prava. Testirajte mogu li se zapisi pronaći u sadržaju, privicima, indeksima i izvozima te dopiru li brisanje ili ispravak do relevantnih komponenti.

Dogovorite put odgovora i očekivano vrijeme obrade. Voditelji obrade obično imaju mjesec dana za odgovor na zahtjev, uz uvjete za produljenje propisane GDPR-om; pomoć dobavljača mora ostaviti prostor za provjeru identiteta, pravnu procjenu i sigurnu dostavu. Dobavljač bi zahtjeve koji se odnose na obradu prema vašim uputama u pravilu trebao proslijediti vama, umjesto da sam odlučuje o njihovu ishodu.

Naknade i ograničenja usluge zaslužuju pregled. Naknade za dodatnu pomoć nisu automatski zabranjene, ali ne smiju obvezu pružanja pomoći učiniti nedjelotvornom. Povežite postupak sa svojim tijekom rada za zahtjeve ispitanika za pristup.

Vraćanje, brisanje i sigurnosne kopije

Na kraju usluge članak 28. zahtijeva brisanje ili vraćanje prema izboru voditelja obrade te brisanje postojećih kopija, osim ako pravo Unije ili države članice zahtijeva njihovu pohranu. Prije kupnje utvrdite što to tehnički znači.

Provjerite potpunost izvoza, format, razdoblje dostupnosti i jesu li privici ili konfiguracija isključeni. Kod brisanja razlikujte aktivne zapise, predmemorije, replike, zapisnike i sigurnosne kopije. Ako brisanje sigurnosnih kopija slijedi planirani ciklus, dokumentirajte razdoblje, ograničenja pristupa i mjere koje sprječavaju ponovno unošenje izbrisanih zapisa putem vraćanja.

Pitajte kako se dokazuje dovršetak i kako se utvrđuje zakonski propisano čuvanje. Izbjegavajte oslanjanje na „račun zatvoren“ kao dokaz da su osobni podaci uklonjeni.

Pregledajte prava na reviziju, odgovornost i neriješene odredbe

Odredbe o reviziji trebaju pružiti smisleno jamstvo, a istodobno zaštititi druge klijente i legitimne sigurnosne interese. Razumno planiranje, povjerljivost i korištenje neovisnih izvješća mogu revizije učiniti provedivima. Međutim, odredba koja predviđa samo certifikat, bez puta za dobivanje potrebnih informacija ili rješavanje bitnih problema, zahtijeva pravni pregled u odnosu na članak 28. stavak 3. točku (h).

Utvrdite put eskalacije kada su dokazi nedostatni, kada se dogodi incident ili kada regulator zatraži informacije. Ispitajte troškove revizije, rokove obavijesti i ograničenja zajedno; njihov je zajednički učinak važniji od bilo koje pojedinačne formulacije.

Odredbe o odgovornosti zahtijevaju zasebnu komercijalnu procjenu. Naknada štete prema članku 82. ovisi o uvjetima odgovornosti iz Uredbe; izvršitelji obrade nisu automatski odgovorni za svaki propust voditelja obrade. Kada je više strana odgovorno prema članku 82., pravila ih mogu izložiti odgovornosti za cjelokupnu štetu kako bi se osigurala djelotvorna naknada. Ugovorno ograničenje ne ograničava zakonska prava pojedinaca. Njegov učinak na raspodjelu i regres među stranama zahtijeva pravni pregled.

Ako dobavljač odbija izmjene, razlikujte tri ishoda:

• Pojašnjenje: pribavite mjerodavnu formulaciju ili dokaz koji otklanja dvosmislenost.
• Uvjetno prihvaćanje: odobrite zakonit aranžman s dokumentiranim komercijalnim ili operativnim preostalim rizikom i navedenim zaštitnim mjerama.
• Ne nastavljati: zaustavite ili redizajnirajte obradu kada propisane obveze ostaju neispunjene.

Prihvaćanje od strane uprave ne može nezakonit aranžman učiniti zakonitim. Službenik za zaštitu podataka, ako je imenovan, neovisno savjetuje i prati; odgovorni poslovni vlasnik donosi odluke o usluzi uz pravni doprinos i doprinos stručnjaka za zaštitu privatnosti. Nemojte službeniku za zaštitu podataka dodijeliti vlasništvo nad određivanjem svrha ili sredstava obrade.

Pregledajte AI funkcije kao dodatne putove obrade

AI funkcije uvode ulaze, izlaze i međuartefakte koje stariji prilozi možda ne opisuju. Gdje je relevantno, pregledajte upite, dohvaćene dokumente, embeddinge, generirane odgovore, povratne informacije, zapise o nadzoru zlouporabe i pristup za ljudski pregled.

Utvrdite koriste li se podaci klijenata za treniranje ili poboljšanje modela, čijim svrhama to služi i koji subjekt provodi obradu. „Bez treniranja“ nije isto što i „bez čuvanja“, a nijedno od tih obećanja ne dokazuje da zapisnici podrške ili zapisi o nadzoru ne sadrže osobne podatke.

Provjerite primjenjuju li se obveze na kupljenu razinu, uključene krajnje točke i pružatelje modela nižeg reda. Potvrdite postavke čuvanja, iznimke i ponašanje pri brisanju. Ako dobavljač tvrdi da provodi anonimizaciju, pitajte što tu tvrdnju podupire, umjesto da pretpostavite da su artefakti modela anonimni.

Ugovornu obvezu i dokaze o konfiguraciji zabilježite zajedno. Svaka nova svrha zahtijeva vlastitu procjenu uloge i zakonitosti; ugovor o obradi podataka ne pruža tu pravnu osnovu. Primjenjivost Akta o umjetnoj inteligenciji također je zasebno pitanje, a ne nešto što se ispunjava potpisivanjem uvjeta za izvršitelje obrade.

Razrađeni primjer: softver za podršku s opcionalnim sažimanjem

Pretpostavimo, ilustracije radi, da SaaS tvrtka želi platformu za podršku koja sadrži imena, poslovne adrese e-pošte, tekst zahtjeva i privitke. Zahtjevi mogu slučajno sadržavati osjetljive informacije. Opcionalna AI funkcija sažima razgovore.

Nacrt ugovora o obradi podataka opisuje obradu zahtjeva i pohranu u EU-u. Tehnički pregled otkriva pružatelja usluge sažimanja, pristup podrške iz druge regije i dijagnostičko čuvanje koje se razlikuje od čuvanja zahtjeva.

Pregled daje četiri konkretne radnje:

1. Dovršite opseg. Dodajte privitke, dijagnostičke identifikatore i AI obradu u opis; provjerite koristi li dobavljač bilo kakav sadržaj u vlastite svrhe.
2. Razriješite lanac pružatelja. Pribavite identitet pružatelja modela, lokacije obrade, obveze čuvanja i obuhvat odobrenja. Relevantne prijenose procijenite zasebno.
3. Validirajte ponašanje tijekom životnog ciklusa. Provedite sintetički zahtjev kroz izvoz i brisanje. Pribavite objašnjenje o čuvanju sigurnosnih kopija i dijagnostičkih podataka umjesto da pretpostavite da brisanje zahtjeva uklanja svaku kopiju.
4. Postavite uvjet za puštanje u rad. Sažimanje držite isključenim dok se njegov ugovor i tok podataka ne pregledaju. Prije produkcijske upotrebe uspostavite usmjeravanje obavijesti o povredama i promjenama podizvršitelja obrade.

Zapis o odluci razlikuje primljene dokaze od pitanja koja su još otvorena. Ako je osnovna usluga prihvatljiva, odobrenje može izričito isključiti AI funkciju. Ta granica mora postojati i u konfiguraciji i u upravljanju promjenama; bilješka u datoteci pregleda neće spriječiti nekoga da je kasnije uključi.

Sačuvajte odluku i ponovno je otvorite kada se usluga promijeni

Primjenjivu verziju ugovora, opseg obrade, dijagram tokova podataka, dokaze o jamstvu, procjenu prijenosa, dnevnik odstupanja i odobrenje čuvajte zajedno. Zabilježite prihvaćene preostale rizike, uvjete, vlasnike i datume praćenja. Sačuvajte razlog zbog kojeg je aranžman prihvaćen, a ne samo njegov status.

Ponovno provedite pregled kada se svrhe obrade, uključene funkcije, podizvršitelji obrade, lokacije ili ugovorni uvjeti bitno promijene. Kao okidače uključite i značajne incidente i nove dokaze o slabostima kontrola. Planirani pregled nadopunjuje te okidače, a ne zamjenjuje ih.

Secani može podržati ovaj tijek rada modeliranjem usluge i vanjskih pružatelja, povezivanjem dokaza sa zahtjevima i odlukama te dodjeljivanjem praznina iz pregleda vlasnicima. Zaključci koje su pregledali ljudi, poveznice na izvore, komentari i odobrenja čuvaju obrazloženje prihvaćanja. Time se pregled ugovora povezuje s upravljanjem rizicima trećih strana, a da se softver ne tretira kao zamjena za pravnu ili tehničku prosudbu.

Treba li ugovor vlastoručni potpis?

Članak 28. stavak 9. zahtijeva pisani oblik, uključujući elektronički oblik. Vlastoručni potpis nije nužno potreban. Sačuvajte dokaz o obvezujućem prihvaćanju i verziju koja je na snazi; zamolite pravne revizore da razriješe nesigurnost oko uključivanja putem interneta ili proturječnih uvjeta.

Mora li svaki podizvršitelj obrade biti naveden u samom ugovoru o obradi podataka?

Članak 28. ne propisuje fiksan popis unutar dokumenta. Održavani popis može poduprijeti odobrenje, pod uvjetom da aranžman osigurava potrebne informacije, obavijesti o promjenama i priliku za prigovor. Sačuvajte popis relevantan za vaš pregled.

Za sljedeći pregled dobavljača počnite s jednim reprezentativnim tokom podataka i matricom prema članku 28. Razriješite nesklad između ugovornih obećanja i uočljivog rada prije nego što odobrite produkcijsku obradu.